CVE-2025-62523
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Błędna konfiguracja CORS w PILOS przed wersją 4.8.0: odzwierciedla nagłówek Origin w Access-Control-Allow-Origin bez walidacji, przy jednoczesnym ustawieniu Access-Control-Allow-Credentials na true. Jednak zabezpieczenia sesji Laravel sprawiają, że typowe wdrożenia nie są podatne na wykorzystanie.
Ocena ryzyka
Potencjalnie złośliwa strona mogłaby wysyłać żądania z poświadczeniami do API PILOS, ale ze względu na dodatkowe kontrole pochodzenia w Laravelu, ryzyko jest niskie w typowych wdrożeniach.
Rekomendacja
Zaktualizuj PILOS do wersji 4.8.0 lub nowszej, która zawiera poprawkę. Dodatkowo rozważ skonfigurowanie listy dozwolonych źródeł dla CORS.
Inne podatności w PILOS
Zobacz wszystkie- CVE-2026-71555Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Od wersji 2.1.0 do 4.14.1 PILOS nie wysyła nagłówka odpowiedzi Cross-Origin-Opener-Policy, więc strony otwierane przez PILOS za pomocą linku otwierającego nowy kontekst przeglądania (np. target="_blank") zachowują referencję window.opener do oryginalnej karty PILOS. Złośliwa strona docelowa może użyć window.opener do nawigacji lub manipulacji oryginalną kartą PILOS, co jest techniką znaną jako reverse tabnabbing, potencjalnie przekierowując uwierzytelnionego użytkownika na stronę phishingową imitującą PILOS. Problem naprawiono w wersji 4.14.1.
- CVE-2025-62781Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Przed wersją 4.8.0 użytkownicy z lokalnym kontem mogą zmienić swoje hasło podczas logowania. Po zmianie hasła wszystkie inne aktywne sesje są kończone, z wyjątkiem bieżącej. Jednak token bieżącej sesji pozostaje ważny i nie jest odświeżany. Jeśli atakujący wcześniej uzyskał ten token sesji przez inną podatność, zmiana hasła nie unieważni jego dostępu. W rezultacie atakujący może nadal działać jako użytkownik nawet po zmianie hasła. Podatność została naprawiona w wersji 4.8.0.
- CVE-2025-62524Średnie
PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. W wersjach przed 4.8.0 ujawnia wersję PHP poprzez nagłówek X-Powered-By, co umożliwia atakującym fingerprinting serwera i ocenę potencjalnych exploitów.
Oryginalny opis (angielski, źródło NVD)
PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. PILOS before 4.8.0 includes a Cross-Origin Resource Sharing (CORS) misconfiguration in its middleware: it reflects the Origin request header back in the Access-Control-Allow-Origin response header without proper validation or a whitelist, while Access-Control-Allow-Credentials is set to true. This behavior could allow a malicious website on a different origin to send requests (including credentials) to the PILOS API. This may enable exfiltration or actions using the victim’s credentials if the server accepts those cross-origin requests as authenticated. Laravel’s session handling applies additional origin checks such that cross-origin requests are not authenticated by default. Because of these session-origin protections, and in the absence of any other unknown vulnerabilities that would bypass Laravel’s origin/session checks, this reflected-Origin CORS misconfiguration is not believed to be exploitable in typical PILOS deployments. This vulnerability has been patched in PILOS in v4.8.0
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS